Firefox: Java gilt ab Version 24 grundsätzlich als unsicher, standardmäßiges Click-to-Play ab Version 26
Mozilla plant in den kommenden Wochen zwei grundlegende Änderungen in Bezug auf die Ausführung von Plugins. So soll das Java-Plugin bereits in Kürze grundsätzlich als unsicher eingestuft werden, auch in der jeweils aktuellsten Version. Click-to-Play für alle Plugins außer der aktuellsten Flash-Version soll ab Version 26 standardmäßig aktiviert werden.
Nach derzeitiger Planung soll das Java-Plugin ab Version 24 von Firefox grundsätzlich als unsicher eingestuft werden, auch in seiner jeweils aktuellsten Version. Dies ist die Konsequenz aus den zahlreichen Sicherheitslücken der Vergangenheit und der sehr langen Zeit, welche Oracle zum Beheben der Sicherheitslücken benötigt. Nutzer werden Java weiterhin für einzelne Seiten permanent erlauben können, Java wird dann aber nicht mehr global für alle Webseiten aktiviert werden können. Mozilla plant diese Änderung für Firefox 24, allerdings nicht direkt zur Veröffentlichung von Version 24.
Mit Firefox 26 kommt eine weitere Änderung. Dann werden wie bereits Anfang des Jahres berichtet alle Plugins standardmäßig auf Click-to-Play geschaltet, außer Adobe Flash in seiner zum jeweiligen Zeitpunkt aktuellsten Version. Durch Click-to-Play sind Plugins nicht permanent geladen, sondern können bei Bedarf durch den Benutzer aktiviert werden. Über den Add-on Manager können die Plugins aber auch wieder permanent aktiviert werden.
Update 21. November 2013: Mit Firefox 26 werden noch nicht alle Plugins standardmäßig auf Click-to-Play geschaltet werden.
Sören Hentzschel ist Webentwickler aus Salzburg. Auf soeren-hentzschel.at informiert er umfassend über Neuigkeiten zu Mozilla. Außerdem ist er Betreiber von camp-firefox.de, der ersten Anlaufstelle im deutschsprachigen Raum für Firefox-Probleme aller Art. Weitere Projekte sind firefox.agenedia.com, firefoxosdevices.org sowie sozone.de.
Aus meiner Sicht eine gute Entscheidung, das Java-Plugin so zu behandeln. Auch wenn Java-Programmierer es wahrscheinlich anderes sehen.
Ich beziehe hier als Java-Entwickler mal Stellung…
Java wurde und wird ja leider von vielen Leuten gehasst. An den Punkten Windows Installer und Web-Plugin zurecht. Beim Rest der Plattform IMHO zu unrecht.
Das Browser Plugin gehört eigentlich schon seit vielen Jahren eingestampft. Jedem, der sich jemals damit befasst hat, sollte klar gewesen sein, dass es potentiell unsicher ist. Aus diesem Grund habe ich es auch seit Jahren deaktiviert.
Die meisten Java-Anwendungen sind weder Browser Applets noch Desktopanwendungen, sondern Services, die auf Servern laufen. Beispielsweise die Google-Suche, Gmail, Data-Mining Dienste etc. Dazu kommen noch Android-Systeme, die eine spezielle Variante von Java verwenden.
Leider wird Java in letzter Zeit nur mit den Sicherheitslücken des Browser-Plugins bzw. des Security Managers, der eigentlich nur vom Browser Plugin verwendet wird, und lahmen Desktopanwendungen in Verbindung gebracht. Java ist jedoch viel mehr, es ist einmal die Laufzeitumgebung „JVM“, die ihrer Konkurrenz wie zB. der Microsoft „CLR“ um Jahre vorraus ist und auch andere Sprachen als Java interpretieren kann (z.B. Python, Groovy, Scala etc.), sowie auch Java EE, das im Business-Bereich konkurrenzlos ist, als auch Android.
Ich fasse es nochmal kurz zusammen:
– Gute Entscheidung Click to Play fürs Java-Web-Plugin einzuführen
Naja, eine Verbreitung von mehreren Milliarden Devices hat halt seinen Preis und das ist es ja in erster Linie, was die Laufzeitumgebung für Cyberkriminelle so attraktiv macht. Damit ist Java aber nicht alleine, auch JavaScript oder Flash sind ja immer noch Kandidaten dafür.
Google nicht mehr. Soweit ich weiss, hat Google all seine Services mittlerweile auf JavaScript umgestellt und verwendet abgesehen von Android eigentlich so gut wie kein Java mehr. Oder habe ich dich jetzt in irgendeiner Form falsch verstanden?
Ansonsten ist das ne gute Entscheidung. Bleibt aber immer noch Flash, die letzte Beulenpest in Binärform. Und das wird sich wohl erst erledigen, wenn Shumway marktreif ist.
Nicht ganz. Google verwendet das eigene Framework GWT, welches es ermöglicht, Code in Java zu schreiben, der dann Clientseitig in Javascript ausgeführt wird. Der Vorteil ist, dass man Arbeit auf den Clientrechner auslagern kann und damit die eigenen Server entlastet. Der Nachteil ist das ständige marshalling und unmarschalling von Daten und wenn man es mit der Auslagerung überreibt, kann man ältere Clients überlasten.
Ich bevorzuge da das ZK-Framework, das berechnet alles am Server und verwendet den Client nur zum Rendern der Oberfläche. Das erzeugt zwar mehr Serverlast, ist jedoch beim Client sparsamer und man hält sich nicht mit dem Marschalling auf…
JavaScript würde ich vom Aspekt der Sicherheit aber keinesfalls in einem Atemzug mit Plugins nennen, Plugins sind sehr viel sicherheitskritischer. Nicht grundlos basiert Mozillas PDF-Betrachter auf JavaScript, um ein Plugin obsolet zu machen. Selbiges mit Shumway für Flash, ebenfalls JavaScript. Große Teile von Firefox selbst sind JavaScript, Add-ons ebenso. JavaScript ist relativ sicher. Gefahrenpotentiale wie XSS sind keine Schwachstellen von JavaScript, sondern basieren auf dem Fehler, Nutzereingaben seitens Webseite nicht überprüft zu haben. Das ist ist grundsätzlich gefährlich. 😉
Hallo Sören,
auf meinen beiden Notebooks im Haus (einmal Win7Pro-64, einmal Win7Home-32) läuft Youtube nicht mehr seit Clean Install auf FF 24. Das Videofenster bleibt schwarz, außerdem ist bei jedem Aufruf der Website die Lautstärkte auf Mute gleichwohl sie vor einem FF-Neustart höher gestellt war. Englischsprachige User im Netz berichten wohl ähnliches. Hast Du eine Idee wie ich das fixen kann? Downgrade auf FF23 oder gibt es eine bessere Lösung?
Beste Grüsse
Guido
Youtube mit FF 24 läuft wieder. Ich denke, das Problem lag bei den Youtube-Jungs.
Hallo Guido,
schön, dass es wieder geht und entschuldige bitte, dass ich nicht auf die Frage reagiert hatte. Du hast sicherlich gemerkt, dass es in dieser Zeit auch keine Artikel gab. Ich bin gerade erst dabei, alles aus den letzten drei Wochen aufzuarbeiten.
Man muss differenzieren zwischen dem Java-Applets und den gängigen Java-Application-Servern, das fehlt in 99% aller Artikel über Java-Sicherheitslücken komplett, ebenso hier. Tatsächlich werden Java-Entwickler immer begehrter, unterschlägt man die Differnzierung straft die Tendenz diesen Artikel Lügen.
@Grim, naja. Hier geht es ja um den Browser und die jsp haben ja nichts mit dem Browser zu tun. Das läuft ja alles auf dem Server ab und für den User und Browser macht es keinen Unterschied, ob die Seite über jsp, perl, php oder was auch immer ausgeliefert wird. Daher sehe ich auch keinen wichtigen Grund hier auf jsp einzugehen. Dann müsste man erst einmal erklären, was jsp überhaupt ist, was der Unterschied zu Applets ist usw. und das gehört für mich nicht in diesen Artikel.
Erstens das, zweitens habe ich in dem Artikel ja nun wirklich ganz explizit vom Java-Plugin gesprochen, also von wegen diese Unterscheidung fehlt hier. Ich denke, das ist in diesem Artikel ziemlich unmissverständlich…
Update 21. November 2013: Mit Firefox 26 werden noch nicht alle Plugins standardmäßig auf Click-to-Play geschaltet werden.